Entrar
Contraseña
Argon2id con política por tenant, historial y bloqueo compartido.
Verificado en CI de integraciónPasskeys y WebAuthn
Una prueba que no viaja: solo su firma.
Con passkeys, el dispositivo verifica a la persona y firma un desafío del servidor. AUTH4US recibe la firma, nunca huellas, rostros ni PIN.
Código completoImplementado sobre el estándar WebAuthn. No se ha verificado en vivo con autenticadores físicos.
- Descubrir
- Autorizar
- Probar
- Verificar
- Consentir
- Emitir
- Sesión
- Revocar
Demostración simulada: no usa tu autenticador ni envía datos.
Entrar
El servidor aún no ha emitido un desafío.
- Desafío
- Presencia
- Verificando
- Autenticado
Cuatro ceremonias, un mismo estándar.
Los desafíos se guardan con un solo uso y caducan a los dos minutos; con Redis, se comparten entre nodos.
Esperando la confirmación de la passkey
La persona escribe su usuario y usa su passkey. Si el usuario no existe, el desafío es sintético: no revela quién tiene cuenta.
Código completoEntrando
Sin escribir nada: el autenticador ofrece las credenciales que guarda para este sitio.
Código completoVerificando el código
Con una sesión abierta, una passkey eleva la garantía para acciones sensibles.
Verificado multi-nodoEntrar
Registrar una passkey exige step-up; listarlas y borrarlas también está en la cuenta.
Código completoCada tenant decide su política.
La política WebAuthn vive en la configuración del tenant y se aplica al registrar y al iniciar sesión.
Verificado en CI de integraciónVerificado en CI de integración
enabled- Activa o desactiva WebAuthn en el tenant
user_verification- required o preferred
allow_platform / allow_roaming- Autenticadores del dispositivo o externos
require_hardware- Solo autenticadores de hardware; también endurece el step-up de secretos, llaves y federación
require_attestation- Pide atestación directa
allowed_aaguids / denied_aaguids- Listas de modelos de autenticador permitidos o bloqueados
Lo que está probado y lo que falta probar.
La implementación sigue el estándar WebAuthn y está cubierta por pruebas. La verificación en vivo con autenticadores físicos todavía está pendiente, así que no afirmamos compatibilidad verificada con modelos concretos ni certificación FIDO.
- AUTH4US → Navegador: Desafío (X-Ceremony-Id, 2 min)
- Navegador → Autenticador: navigator.credentials.get
- Autenticador → Autenticador: Verifica a la persona localmente
- Autenticador → Navegador: Aserción firmada
- Navegador → AUTH4US: Firma, origen, contador y política
La interfaz real del SDK, método por método.
Escenas de @auth4us/ui-react con estados honestos: el éxito solo aparece cuando el protocolo lo confirma.
Veámoslo con tus aplicaciones.
Una demostración con datos sintéticos: tus flujos, tus métodos de entrada y tu modelo de tenants.